S3: átjáró- vagy interfészvégpont a helyi hálózatból való hozzáféréshez

Két S3-végponttípus tervezési átvizsgáláson felcserélhetőnek tűnik, és teljesen eltérően viselkedik, amint az ügyfél a telephelyen kívül van. Az átjáróvégpont VPC-n belüli útválasztási táblázat-integráció, ezért a telephelyi VPN-ből érkező kérés soha nem érkezik meg hozzá magáncélként. Az interfészvégpont magáncímeket helyez a hálózati interfészekre, amit egy hibrid útvonal valóban elérhet. Minden, ami következik, attól függ, melyiket választotta a kettő közül.

A hálózati belépés alapján döntsön, ne a szolgáltatás neve alapján

Ott kezdje, ahol a forgalom keletkezik, mert erre a kérdésre válaszol a végponttípus. Egy támogatott VPC-környezetben futó munkaterhelés használhat átjáróvégpontot, és soha nincs szüksége saját magáncímre. A helyszíni munkaterhelésnek olyan magáncímre van szüksége, amelyre irányíthat, és ezt az interfészvégpont biztosítja. Ha egy terv mindkettőt keveri, mindkét végponttípus együtt létezhet egy VPC-ben, és ez normális elrendezés, nem duplikáció.

A keverésük nem a probléma. Az a probléma, ha azt feltételezzük, hogy az egyik típus lefedi a másikat.

Az ügyfél osztályozása után válasszon bármit. A VPC-n belüli munkaterület, a NAT-átjáró mögötti konténer és a fiókirodai alkalmazás három különböző forrás, és csak az utóbbi kényszeríti ki a hibrid belépést. Írja ezt az osztályozást a végpontleltár mellé, hogy a következő ellenőr lássa, miért létezik minden végpont.

Mit igényel az interfészútvonal elejétől a végéig

Az interfészvégpont hozzáférést ad a magáncímekhez, és a hozzáférés csak egy a négy követelmény közül. A helyi hálózatnak útvonalra van szüksége ezekhez a címekhez, a VPC oldalának visszaútra, a végpont biztonsági csoportjának engednie kell a forrástartományt, és a kettő közötti bármely ellenőrző eszköznek engednie kell a forgalmat. Az útvonal a VPC valamely példányához egyiket sem bizonyítja a négy közül.

A távoli végtől visszafelé dolgozzon. Erősítse meg, hogy a végpont hálózati interfészei a várt alhálózatokban léteznek, majd erősítse meg, hogy a biztonsági csoportja a valódi helyi tartományt engedi, nem egy helyőrzőt. Ezután ellenőrizze, hogy az alagút vagy a vonal ugyanabban az irányban hordozza-e a visszaútot. Az ellenőrzés az a lépés, amelyet az emberek kihagynak, mert egy köztes eszköz, amely engedi a kapcsolatot, még mindig eldobhat egy nagyobb választörzset, és ez áteresztőképesség-problémának látszik, nem házirendproblémának.

A legkisebb elérhető engedélyezett művelettel teszteljen, ne nagy letöltéssel. A hiba hamarabb és kevesebb forgalommal jelenik meg.

A DNS a lekérdezés forrását követi, nem a VPC-t

Egy létező végpont önmagában nem irányít át semmit. Az alkalmazás azt a nevet kapja, amelyet a feloldója visszaadott, a feloldó pedig az általa látható nézet szerint válaszol. A VPC-n belüli példány és az irodai laptop két különböző kérdést tesz fel, és mindkettő helyes, de eltérő választ kaphat. Az egyik ellenőrzése és a másikról való következtetés az az út, amelyen egy átment teszt sikertelen telepítéssé válik.

A végpont privát DNS-beállítását a tervezés részeként olvassa, ne az élesítés után bekapcsolandó jelölőnégyzetként.

Ha az irodai feloldónak látnia kell a VPC nézetét, ezt az útvonalat szándékosan kell megépíteni, általában egy bejövő feloldóvégponton keresztül. Az alkalmazás saját környezetéből kérdezzen, és jegyezze fel, melyik feloldó válaszolt. A VPC-n belüli bástyagépen gyűjtött eredmény a bástya nézetét írja le, és semmi mást.

Az engedély elkülönül a hozzáféréstől

Egy elérhető végpont hibákat ad vissza azokra a kérésekre, amelyeket a főszereplő nem tehet meg, és ez a hiba azt jelenti, hogy a rendszer a tervezésnek megfelelően működik. Az identitásházirendet, a bucket-házirendet és bármely végpont-házirendet a saját rétegeikben értékelik. A hálózati hozzáférés soha nem adott engedélyt.

Fogadja el a tervet két eredmény alapján: egy ártalmatlan, engedélyezett hívás, amely sikerül, és egy várt elutasítás egy kizárt identitás vagy bucket esetében.

aws ec2 describe-vpc-endpoints --filters Name=vpc-id,Values=vpc-0123456789abcdef0
dig +short s3.us-west-2.amazonaws.com @10.0.0.2

Jegyezze fel a végpont nevét, a feloldott célt és a házirend-környezetet minden eredmény mellé, mert egy későbbi DNS-változás érvénytelenítheti az egész következtetést. Hasonlítsa össze a két végponttípus jelenlegi költségét és üzemeltetési súlyát, mielőtt bármit kiépít. Az interfészvégpont hibrid magánbelépést vásárol, nem egyetemes követelmény, és az átjáróútvonal gyakran továbbra is a jobb válasz a VPC-n belüli munkaterhelések számára. A választás ügyfelenként szól, és felülvizsgálható marad.